广东省东莞市中级人民法院刑 事 裁 定 书（2020）粤19刑终1473号原公诉机关东莞市第一市区人民检察院。上诉人（原审被告人）陈**辉,男，1991年5月20日出生，汉族，户籍所在地为广东省东莞市********************，本科文化。公民身份号码：431************010。因涉嫌犯非法控制计算机信息系统罪、侵犯公民个人信息罪于2019年9月25日被羁押并被刑事拘留，同年10月31日被逮捕。现押于东莞市第二看守所（牛山）。辩护人叶玉斌、方丽霞，均为广东广健律师事务所律师。东莞市第一人民法院审理东莞市第一市区人民检察院指控原审被告人陈**辉犯非法控制计算机信息系统罪、侵犯公民个人信息罪一案，于2020年10月10日作出（2020）粤1971刑初2806号刑事判决。原审被告人陈**辉对该判决不服，提出上诉。本院受理后，依法组成合议庭，经阅卷、讯问上诉人的意见，认为本案事实清楚，决定不开庭审理。现已审理终结。原审法院认定，2018年9月，原审被告人陈**辉开始使用宝塔面板的管理服务器。2019年5月，原审被告人陈**辉研究发现宝塔面板软件存在漏洞，于是编写脚本攻击漏洞，成功后可以自动绑定微信号、登陆宝塔面板、上传木马文件到使用宝塔面板的服务器，从而获取他人宝塔账户的最高权限，控制他人的宝塔账户。经鉴定，东莞市百塔科技有限公司被上述方式非法登陆控制共计2475次。在公安机关侦查过程中，原审被告人陈**辉主动交代，2019年8月至9月，其通过暗网“自由国度论坛”非法交易获取的公民个人信息（包括姓名、电话、时间、身份证号码、银行卡、地址，经查重后约为212000条），再通过暗网转卖给“鑫网”、“拉丁咯”、“美元”、“棋网”等网络用户，非法获利约人民币10000元。另查明，案发后，原审被告人陈**辉的家属退还陈**辉贩卖公民个人信息的非法所得人民币10000元。原审依照《中华人民共和国刑法》第二百八十五条第二款、第二百五十三条之一、第六十九条、第六十七条第一款、第三款、第四十七条、第五十二条、第五十三条、第六十四条的规定，判决如下：一、被告人陈**辉犯非法控制计算机信息系统罪，判处有期徒刑三年三个月，并处罚金人民币3000元；犯侵犯公民个人信息罪，判处有期徒刑二年，并处罚金人民币2000元。总和刑为有期徒刑五年三个月，并处罚金人民币5000元。数罪并罚，决定执行有期徒刑四年九个月，并处罚金人民币5000元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2019年9月25日起至2024年6月24日止；罚金自判决生效后30日内一次性向本院缴纳，上缴国库。）二、随案移送的硬盘一个、苹果牌笔记本电脑一台，予以没收，上缴国库。随案移送的手机二台，如被告人按期足额缴纳罚金的，予以退还本人，如未按期足额缴纳的，予以移送执行，折抵罚金。上诉人陈**辉提出：1、对非法控制计算机信息系统罪认定事实不清、证据不足，适用法律错误，公诉机关指控因陈**辉获得服务器最高权限，代表控制行为已经完成，该指控不能成立；2、对侵犯公民个人信息罪认定事实不清、证据不足，陈**辉获取的公民个人信息不足5万条，不属于公诉机关指控的“情节特别严重”情形，原审适用法律错误。经审理查明，原审判决认定上诉人陈**辉犯非法控制计算机信息系统罪、侵犯公民个人信息罪的事实，有经原审法庭举证、质证的现场勘查笔录、现场图、现场照片，物证电脑主机、手提电脑、手机等（均为照片），司法鉴定意见书，到案经过，个人信息，搜查笔录、扣押清单，聊天记录截图，数据表格，接受证据清单，情况说明，公民个人信息，证人刘敏玲的证言，被害单位员工梁凯强的陈述，被告人陈**辉的供述及指认笔录等证据予以证实，证据确实、充分，本院予以确认。关于上诉人陈**辉申请本院调查其被公安机关扣押的手机，查询微信群聊天记录，以证明其侵犯公民个人信息的行为是受公司指派的职务行为的理由，公民的个人信息受法律保护，不管上诉人是否受公司指派，任何人均不能非法获取和贩卖，申请调查的结果不影响本案的定罪和量刑，本院对该调取证据申请不予采纳。关于上诉人及其辩护人提出对非法控制计算机信息系统罪认定事实不清、证据不足的辩护意见，经查，陈**辉通过编写攻击脚本，攻击“宝塔面板”软件登录授权方面的漏洞，成功后自动绑定陈**辉的微信号，利用其自己的宝塔账号（通过微信注册）登陆其他人的宝塔账户，此时，陈**辉就已经获取他人宝塔账户的最高权限，可以上传文件、修改文件、进行数据库操作等，陈**辉编写的攻击脚本会自动上传木马文件到“宝塔面板”的服务器，陈**辉再企图通过向木马发送指令，进一步控制他人服务器，用于DDOS攻击和刷流量等。可见，陈**辉并非只是单纯的入侵，其非法篡改登陆权限的行为，致使其他用户无法通过小程序的方式正常登陆管理平台，而且在其入侵之后，还进行了上传木马文件的操作，是在实现了入侵之后的进一步控制，其行为符合非法控制计算机信息系统罪的行为特征，上诉人及其辩护人的相关辩护意见理据不足，本院不予采纳。关于上诉人及其辩护人提出对侵犯公民个人信息罪认定事实不清、证据不足的辩护意见，经查，陈**辉供述通过暗网非法获取公民信息，针对公诉机关对其获取途经的指控，其本人在一审庭审中并没有异议，其将个人信息贩卖给其他网络用户，有其本人的供述，且有相关聊天记录佐证，陈**辉也退还了贩卖公民个人信息的非法所得，证据之间形成证据链，足以认定上诉人陈**辉行为构成侵犯公民个人信息罪，上诉人及其辩护人在二审中提出异议，没有新的事实和证据予以支持，本院不予采纳。关于涉案公民信息的数量问题，经查，根据广东鑫证司法鉴定所对送检的陈**辉的笔记本电脑中的数据进行恢复提取，其中的公民个人信息经查重后约有21万条，这与上诉人陈**辉供述非法获取公民个人信息约20万条基本相符，辩护人提出的3.4万条，仅是涉案公民信息的一部分，辩护人的相关辩护意见，理据不足，不予采纳。综上所述，上诉人陈**辉违反国家规定，对计算机信息系统实施非法控制，情节特别严重，其行为已构成非法控制计算机信息系统罪；上诉人陈**辉又违反国家规定，非法获取并向他人出售、提供公民个人信息，情节特别严重，其行为又已构成侵犯公民个人信息罪，对上诉人陈**辉的以上行为依法均应予惩处，并应数罪并罚。原审法院认定上诉人陈**辉犯非法控制计算机信息系统罪、侵犯公民个人信息罪事实清楚，证据确实充分，本院予以确认。上诉人陈**辉在侦查阶段、一审审理阶段均承认其侵犯公民个人信息非法获利10000元，上诉人在二审期间对该获利数额提出异议，没有提出新的事实和证据予以证明，且非法获利数额的确定与否不影响本罪的认定。上诉人陈**辉因涉嫌非法控制计算机信息系统而被采取强制措施后，主动供述司法机关还未掌握的侵犯公民个人信息的犯罪行为，是自首，对其犯该罪依法可以减轻处罚；上诉人陈**辉归案后如实供述其非法控制计算机信息系统的犯罪事实，对其犯该罪依法可以从轻处罚；鉴于上诉人陈**辉已经获得被害单位的谅解，并已经退还其贩卖公民个人信息的非法所得，可对其酌情从轻处罚，原审法院基于上述情节已在法定量刑幅度内予以从轻处罚。上诉人二审以此为由要求再从轻，理由不能成立，本院不予采纳。原审判决认定事实清楚，证据确实、充分，定罪准确，量刑适当，审判程序合法。依照《中华人民共和国刑事诉讼法》第二百三十六条第一款第（一）项之规定，裁定如下：驳回上诉，维持原判。本裁定为终审裁定。审判长  吴国鹏审判员  叶志超审判员  钟 雯二〇二〇年十二月二十八日书记员  庾桂香相关法律条文：《中华人民共和国刑事诉讼法》第二百三十六条第二审人民法院对不服第一审判决的上诉、抗诉案件，经过审理后，应当按照下列情形分别处理：（一）原判决认定事实和适用法律正确、量刑适当的，应当裁定驳回上诉或者抗诉，维持原判；（二）原判决认定事实没有错误，但适用法律有错误，或者量刑不当的，应当改判；（三）原判决事实不清楚或者证据不足的，可以在查清事实后改判；也可以裁定撤销原判，发回原审人民法院重新审判。原审人民法院对于依照前款第三项规定发回重新审判的案件作出判决后，被告人提出上诉或者人民检察院提出抗诉的，第二审人民法院应当依法作出判决或者裁定，不得再发回原审人民法院重新审判。